-
Die
Erfindung betrifft ein Verfahren zur Bestimmung des Orts und/oder
einer Bewegungsgröße von sich
bewegenden Objekten, insbesondere von sich bewegenden spurgebundenen
Fahrzeugen, gemäß dem Oberbegriff
des Anspruchs 1.
-
Es
ist bekannt, dass es zur Steuerung des Bahnverkehrs erforderlich
ist, den Aufenthaltsort der Fahrzeuge zu bestimmen. Zur Ortung sind
deshalb Sensoren in den Fahrzeugen installiert, wobei unterschiedliche
Wirkprinzipien für
die Ortung bekannt sind. Dabei sind Wegimpulsgeber weit verbreitet,
die aus den Radumdrehungen jeweils Impulse für die Weg- und Geschwindigkeitsberechnung
ableiten. Daneben werden auch Beschleunigungssensoren und Radarsysteme
eingesetzt. Mittlerweile sind auch erste satellitengestützte Ortungssysteme
auf der Bass von GPS (Global Positioning System) bekannt. Alle bekannten
Ortungssensoren weisen spezifische Eigenschaften und Fehlertoleranzen
auf, weshalb es vorkommen kann, dass die Ortungssensoren in besonderen
Situationen unbrauchbare oder keine Daten liefern. So sind die Ortungsdaten
der Wegimpulsgeber bei erhöhtem
Schlupf in den Antriebs- und Bremsphasen mit großen Fehlern behaftet. Aus diesem
Grunde werden manchmal mehrere Sensoren für die Ortung eingesetzt und
deren Ortungsdaten miteinander verknüpft, um den Aufenthaltsort
eines Zuges genauer angeben zu können,
wobei die Sensordaten auch auf Plausibilität geprüft werden.
-
Bei
dem European Train Control System (ETCS) zur Zugsicherung ist die
Ermittlung des Aufenthaltsortes eines Fahrzeugs (Zu ges) eine sicherheitskritische
Aufgabe, bei der der Aufenthaltsort innerhalb eines sicherheitsrelevanten
Vertrauensintervalls zu bestimmen ist, das ein Maß für die aktuelle Ortungsgenauigkeit
ist. Dieses Vertrauensintervall ist dynamisch, d.h. es hängt jeweils
von der aktuellen Ortungsgenauigkeit ab und kann sich während der Fahrt
des Fahrzeugs ändern.
Ein größeres Vertrauensintervall
bedeutet eine ungenauere Bestimmung des Aufenthaltsortes eines Zuges,
was mit der Zunahme negativer Einflüsse auf den Betriebsablauf verbunden
ist. Um eine Kumulation der Fehler der Ortungssensoren zu verringern,
können
zusätzlich elektronische
Einrichtungen (beispielsweise Balisen) an vorgegebenen Positionen
im Streckenverlauf angeordnet werden, die vom Fahrzeug gelesen werden können, wobei
die Fahrzeuge die gelesenen Informationen zur Synchronisierung der
Ortungsdaten verwenden. An diesen Synchronisationspunkten wird das
während
der Fahrt sukzessive größer werdende Vertrauensintervall
wieder verkleinert.
-
Um
den hohen Anforderungen an die Ausfallsicherheit eines Zugsicherungssystems
gerecht zu werden, werden die Ortungssysteme meist redundant ausgelegt
und müssen
den Ausfall einzelner Sensoren tolerieren. Deswegen werden bei Zugsicherungssystemen
die vorhanden Ortungssensoren oft doppelt einbaut.
-
Die
Ortung der Fahrzeuge im Bahnverkehr erfolgt oft unter schwierigen äußeren Einflüssen, wie beispielsweise
Wasser, Eis, Verschmutzung, Tunnel, Brücken und dem unterschiedlich
beschaffenen Oberbau. Um in einem Ortungssystem mit mehreren Sensoren
temporär
wirkende Ausfälle
und Fehler einzelner Sensoren bei der Fahrzeugortung kompensieren
zu können,
müssen
die Eigenschaften und Fehlermöglichkeiten
der eingesetzten Sensoren genau analysiert und bewertet werden.
Insbesondere erfordert die Berechnung des Vertrauensintervalls der
Ortung komplizierte Algorithmen bei der Verarbeitung und Verknüpfung der
Sensordaten. Aufgrund der Sicherheitsforderungen des Bahnverkehrs
ist dies meist mit einem aufwendigen Zulassungsprozess verbunden.
-
Unter
wechselnden äußeren Einflüssen zeigen
die verfügbaren
Ortungssensoren ein spezifisches und schwankendes Fehlerverhalten,
welches zeitweise zu einer Verminderung der Ortungsgenauigkeit führen kann.
Die damit verbundenen vergrößerten Vertrauensintervalle
bei der Ortsbestimmung können
zur Behinderung des Bahnverkehrs führen.
-
Transiente
oder persistente Ausfälle
einzelner Ortungssensoren führen
weiter zur Verminderung der Ortungsgüte oder sogar zum Ausfall der
gesamten Fahrzeugortung, wodurch massive Betriebsbehinderungen verursacht
werden können.
-
Um
den Sicherheitsanforderungen des Bahnverkehrs zu genügen, werden
bei der Ortung so genannte sichere Rechner eingesetzt, die beispielsweise
aus mehreren parallel arbeitenden Rechnern bestehen, welche die
erhaltenen Rechenergebnisse untereinander vergleichen und eine Bewertung
vornehmen. Nur wenn die Ergebnisse von mindestens zwei Rechnern übereinstimmen,
wird das Ergebnis an den zu steuernden Prozess weitergegeben; bei Nichtübereinstimmung
erfolgt eine entsprechende Sicherheitsreaktion.
-
Die
Aufgabe der Erfindung ist es, eine hohe Genauigkeit bei der Bestimmung
des Orts und/oder einer Bewegungsgröße sicherzustellen. Weiterhin besteht
die Aufgabe darin, die Genauigkeit und die Verfügbarkeit der Ortung skalierbar
in Bezug auf die Höhe
der Anforderungen zu gestalten, so dass deren Verwendung bei unterschiedlichen
Einsatzbedingungen und in verschiedenartigen Steuerungssystemen möglich wird.
-
Die
Aufgabe der Erfindung wird gemäß den Merkmalen
des Anspruchs 1 gelöst;
die Unteransprüche
enthalten vorteilhafte Ausgestaltungen.
-
Die
Lösung
sieht vor, dass mindestens drei Sensoren im Objekt angeordnet sind,
die unabhängig voneinander
Sensordaten über
den Ort und/oder die Bewegungsgröße ermitteln
und an Prozesse übergeben,
die auf einem oder mehreren ebenfalls im Objekt angeordneten Vorverarbeitungsrechnern
ablaufen, wobei jeder Prozess die Sensordaten von mindestens zwei
Sensoren verarbeitet und wobei jeder Sensor seine Sensordaten an
mindestens zwei Prozesse übergibt,
dass jeder Prozess einen Differenzfaktor aus der Differenz der Sensordaten
von je zwei Sensoren berechnet, dass die Prozesse die Differenzfaktoren
untereinander austauschen und anhand der ausgetauschten Differenzfaktoren
die Sensorgüte
für jeden
Sensor als Maß für die aktuelle
Sensorgenauigkeit ermitteln, dass die Prozesse anhand der Sensordaten
und der Sensorgüte
jeweils den Ort und/oder die Bewegungsgröße jeweils gewichtet mit der
zugehörigen
Sensorgüte
berechnen, dass jeder Prozess die Orte und/oder Bewegungsgrößen und die
Sensorgüte
an einen ebenfalls im Objekt angeordneten sicheren Rechner übergibt,
der die Orte und/oder Bewegungsgrößen und/oder die Sensorgüte jeweils
vergleicht und die Orte und/oder Bewegungsgrößen und die Sensorgüte nicht
verwirft, die mehrheitlich innerhalb vorgegebener Toleranzen liegen,
während
er die außerhalb
liegenden verwirft, und dass der sichere Rechner aus den nicht verworfenen
Orten und/oder Bewegungsgrößen jeweils
gewichtet mit der zugehörigen
Sensorgüte
einen Ort und/oder eine Bewegungsgröße berechnet.
-
Zur
Erhöhung
der Genauigkeit wird vorgeschlagen, dass die Sensoren bezogen auf
den Ort als auch auf jede Bewegungsgröße nach unterschiedlichen Wirkprinzipien
arbeiten.
-
Zur
Erhöhung
der Sicherheit wird vorgeschlagen, die Prozesse in den Vorverarbeitungsrechnern
aus unterschiedlicher Software (diversitär) aufzubauen.
-
Zur
Erhöhung
der Verfügbarkeit
und der Sicherheit wird vorgeschlagen, die Vorverarbeitungsprozesse
auf mehrere Vorverarbeitungsrechner aufzuteilen.
-
Zur
weiteren Erhöhung
der Genauigkeit und der Verfügbarkeit
wird vorgeschlagen, mehr als drei unabhängig arbeitende Sensoren zu
verwenden.
-
Technisch
vorteilhaft ist es, wenn der Algorithmus zur Bestimmung der Sensorgüte sensorspezifische
Toleranzen berücksichtigt.
-
Eine
erhöhte
Genauigkeit ergibt sich, wenn zur Berechnung des Vertrauensintervalls
im sicheren Rechner neben den sensorspezifischen Toleranzen die
Sensorgüte
jeweils mit berücksichtigt
wird.
-
Ein
besseres Ausfallverhalten lässt
sich erzielen, wenn mehrere Vorverarbeitungsrechner vorgesehen sind.
-
Genauigkeitserhöhend wirkt
sich auch aus, wenn das Verfahren bezüglich der Verwerfung der Orte
und/oder Bewegungsgrößen und
der Sensorgüte
mit bekannten Plausibilitätsverfahren
kombiniert werden.
-
Mit
dem Verfahren wird eine sichere Ortung von Fahrzeugen ermöglicht,
wobei Fehlereinflüsse einzelner
Sensoren minimiert werden. Die Ortsberechnung nutzt im Wesentlichen
nur die Daten der korrekt arbeitenden Sensoren, wobei resynchronisierte
Sensoren automatisch wieder in die Ortsberechnung einbezogen werden.
Insbesondere für
den Fall, dass mehrere Sensoren gleichzeitig eine geringe Datenqualität liefern,
kann aufgrund der sensorspezifischen Bewertung und Gewichtung der
Daten ein gut verwendbares Ortungsergebnis erhalten werden. Die
Berücksichtigung
der Qualität
der Sensordaten schützt
vor Fehlentscheidungen bei den Mehrheitsentscheidungen, d.h. liefern
zwei Sensoren eine geringere Datenqualität, führt das nicht automatisch zur
Suspendierung eines dritten Sensors mit hoher Datenqualität. Dadurch
werden verfahrensbedingte Fehler verringert. Grundsätzlich lässt sich
die Genauigkeit der Ortung durch zusätzliche Sensoren erhöhen. Die
Anzahl der verwendeten Vorverarbeitungsrechner ist unbegrenzt, so
dass eine vollständige
diversitäre
Vorverarbeitung der Ortungsdaten sichergestellt werden kann. Dabei
können
Sicherheits-, Verfügbarkeits-
und Performanceanforderungen skaliert werden.
-
Mit
den Parametern der sensorspezifischen Ortungsgüte steht eine Matrix zur Verfügung, die
neben der Verbesserung der Ortungsgenauigkeit auch eine Bewertung
der korrekten Funktion der Vorverarbeitungsrechner zulässt und
damit eine teilweise Auslagerung der sicherheitskritischen Ortung
auf eine Plattform mit geringerem Sicherheits-Level unterstützt. Der
sichere Rechner wird von arbeitsintensiven Aufgaben entlastet, wenn
der Vorverarbeitungsrechner mit der Verarbeitung der Sensordaten einen
erheblichen Anteil an der Fahrzeugortung hat.
-
Die
Erfindung wird nachfolgend anhand einer Zeichnung näher beschrieben.
Es zeigen:
-
1 eine
schematische Darstellung des Verfahrens mit drei Ortungssensoren,
drei Vorverarbeitungsrechnern und einem sicheren Rechner,
-
2 den
Ablauf gemäß 1 im
Vorverarbeitungsrechner und
-
3 den
Ablauf gemäß 1 im
sicheren Rechner.
-
1 zeigt
eine schematische Darstellung eines Verfahrens zur Bestimmung des
Orts eines sich bewegenden spurgebundenen Fahrzeugs als sich bewegendes
Objekt, das in 1 als Rahmen 1 dargestellt
ist. Mit diesem Verfahren können
zusätzlich
oder unabhängig
von der Ortsbestimmung entsprechende Bewegungsgrößen des Fahrzeugs bestimmt
werden. Zu den Bewegungsgrößen zählen insbesondere
die Geschwindigkeit als auch die Beschleunigung des Fahrzeugs. In
dem das Fahrzeug darstellenden Rahmen 1 sind drei weitere
Rahmen 2, 4, 6 enthalten, wobei der Rahmen 2 Ortungssensoren 3 (Sensoren 3a, 3b, 3c),
der Rahmen 4 Vorverarbeitungsrechner 5 und der
Rahmen 6 einen sicheren Rechner 7 (Fahrzeugrechner)
beinhaltet, welche alle im Fahrzeug (Rahmen 1) angeordnet
sind. Die Vorverarbeitungsrechner 5 können dabei eine deutlich geringere
Sicherheitsanforderungsstufe als ein sicherer Rechner 7 besitzen
oder ganz ohne Sicherheitsanforderungen arbeiten.
-
Der
Rahmen 2 zeigt drei im Fahrzeug angeordnete kontinuierlich
wirkende Ortungssensoren 3, die als Wegimpulsgeber 3a,
als Radar 3b und als GPS-Empfänger 3c (Global Positioning
System) ausgebildet sind und damit diversitär arbeiten. Die Ortungssensoren 3 ermitteln
jeweils unabhängig
voneinander kontinuierlich Sensordaten S (Ortungsprimärdaten),
welche sie an auf den Vorverarbeitungsrechnern 5 ablaufende
Prozesse P1, P2, P3 (Programme) zur Verarbeitung übergeben
(die Sensordaten S sind hier schematisch als gestrichelte Linien zwischen
den Rahmen 2 und 3 dargestellt, wobei die Sensordaten
des Or tungssensors 3a mit S1 bezeichnet sind, usw.). Wie
die 1 zeigt, sind hier drei unabhängig voneinander arbeitende
Vorverarbeitungsrechner 5a, 5b, 5c vorhanden,
bei denen es sich zwar um die gleichen Vorverarbeitungsrechner 5 handeln
kann, aber nicht handeln muss. Genauso können die Prozesse P1, P2, P3
gleich sein. In beiden Fällen
ist es aber zweckmäßig, wenn
dies nicht der Fall ist, um das Erkennen von Fehlern durch die Verwendung
von unterschiedlichen Prozessen P1, P2, P3 und unterschiedlichen
Rechnern 5a, 5b, 5c zu erhöhen. Es
kann sich aber selbstverständlich
auch um einen einzigen Vorverarbeitungsrechner 5 handeln,
auf dem dann alle drei Prozesse P1, P2, P3 unabhängig voneinander ablaufen.
-
In
den Vorverarbeitungsrechnern 5 sind also eine Anzahl separate
diversitäre
Prozesse P1, P2, P3 implementiert, die unabhängig voneinander die Daten
der angeschlossenen Sensoren S1, S2, S3 verarbeiten. Die Anzahl
der diversitären
Prozesse P1, P2, P3 ergibt sich aus der Anzahl der verwendeten Sensoren
S1, S2, S3. Die Aufteilung der diversitären Prozesse P1, P2, P3 auf
die Vorverarbeitungsrechner 5 hängt von deren Anzahl ab. Bei
Verwendung eines Vorverarbeitungsrechners 5 laufen alle Prozesse
P1, P2, P3 auf diesem Rechner 5. Bei Verwendung mehrerer
Vorverarbeitungsrechner 5 kann in jedem Vorverarbeitungsrechner 5 mindestens
ein Prozess P1, P2, P3 angeordnet werden. Bei drei Ortungssensoren
S1, S2, S3 und drei Vorverarbeitungsrechnern 5a, 5b, 5c kann
beispielsweise je Vorverarbeitungsrechner 5 ein Prozess
P1, P2, P3 implementiert werden.
-
1 ist
entnehmbar, dass jeder Sensor 3 seine Sensordaten S an
mindestens zwei Prozesse P1, P2, P3 übergibt, die Sensordaten S
eines Ortungssensors 3a, 3b, 3c werden
also parallel mindestens zwei verschiedenen Prozessen P1 und P2,
P3 und P2, P1 und P3 der Vorverarbeitungsrechner 5 zugeführt.
-
Jeder
Prozess P1, P2, P3 eines Vorverarbeitungsrechners 5 wertet
die Sensordaten S (Ortungsprimärdaten)
der angeschlossenen Sensoren 3 aus. Vorteilhaft ist es,
die Auswertung innerhalb der Prozesse P1, P2, P3 nach verschiedenen
diversitären Algorithmen
durchzuführen,
um die Wahrscheinlichkeit für
gleiche algorithmische Fehler bei der Ausführung unterschiedlicher Prozesse
P1, P2, P3 zu minimieren.
-
In 1 übergibt
der Sensor 3a seine Sensordaten S1 an die Prozesse P2 und
P3, der Sensor 3b seine Sensordaten S2 an die Prozesse
P1 und P3 und der Sensor 3c seine Sensordaten S3 an die
Prozesse P1 und P2. Das bedeutet, dass hier jeder Prozess P1, P2,
P3 die Sensordaten von genau zwei Sensoren 3 erhält. Jeder
Prozess P1, P2, P3 errechnet aus der Differenz der Sensordaten S1,
S2, S3 einen Differenzfaktor, nämlich
D1-2, D1-3 und D2-3. Die Pfeile 8 sollen andeuten, dass
die Prozesse P zumindest die Differenzfaktoren D1-2, D1-3, D2-3
austauschen. So zeigt der kleine Pfeil 9, dass der Prozess
P3 den Differenzfaktor D1-2 an den Prozess P2 übergibt. Umgekehrt übergibt
der Prozess P2 den Differenzfaktor D1-3 an den Prozess P3 (Pfeil 10). Ein
entsprechender Austausch findet wie in 1 gezeigt
auch zwischen den Prozessen P1 und P2 sowie P1 und P3 statt. Somit
stehen allen Prozessen P1, P2, P3 alle drei Differenzfaktoren D1-2,
D1-3, D2-3 zur Verfügung,
woraus die Prozesse P1, P2, P3 eine Sensorgüte SG als Maß für die berechnete
Sensorgenauigkeit ermitteln. Die Sensorgüte SG1, SG2, SG3 wird dabei
umso höher
bewertet, je geringer die Differenzfaktoren D1-2, D1-3, D2-3 zweier
Vorverarbeitungsprozesse P1, P2, P3 bezüglich eines gemeinsamen Sensors 3a, 3b, 3c ausfallen.
Eine hohe Sensorgüte
SG1, SG2, SG3 für
einen Sensor 3a, 3b, 3c stützt sich
damit auf die übereinstimmende
Beurteilung von drei Sensoren 3a, 3b, 3c durch
zwei Vorverarbeitungsprozesse P1, P2, P3. Anhand der Sensordaten
S und der Sensorgüte
SG berechnen die Prozesse P1, P2, P3 jeweils einen mittleren Ort O1,
O2, O3 der jeweils mit der zugehörigen
Sensorgüte
SG1, SG2, SG3 gewichtet ist. Wie die 1 zeigt,
werden die Orte O1, O2, O3 und die Sensorgüte SG1, SG2, SG3 von den Vorverarbeitungsrechnern 5a, 5b, 5c an
den sicheren Rechner 7 übergeben
(schematisch ist die Übergabe
der Sensorgüte SG
und der Orte O als gestrichelte Linien zwischen den Rahmen 4 und 6 dargestellt).
So übergibt
der Vorverarbeitungsrechner 5a einen ermittelten Ort O3 und
die beiden Sensorgüten
SG1 und SG2 der beiden Sensoren 3a, 3b an den
sicheren Rechner 7, da der Vorverarbeitungsrechner 5a die
Sensordaten S1, S2 von den beiden Sensoren 3a, 3b erhalten
hat. Eine entsprechende Übergabe
erfolgt von den Vorverarbeitungsrechnern 5b und 5c.
-
An
den sicheren Rechner 7 können bei Bedarf zusätzliche
Sensoren angeschlossen werden, wie beispielsweise ein Balisenleser
(hier nicht gezeigt).
-
2 zeigt
schematisch den oben beschriebenen Ablauf im Vorverarbeitungsrechner 5a,
der in 2 in drei Schritte gegliedert ist (die Abläufe in den beiden
anderen Vorverarbeitungsrechnern 5b, 5c erfolgen
entsprechend).
-
Im
ersten Schritt erfolgt die Übergabe
der Sensordaten S1, S3, die vom Vorverarbeitungsrechner 5a gelesen
werden. Nach dem Lesen werden die Sensordaten S1, S3 aufbereitet
(z. B. kann eine Transformation in ein geeignetes Koordinatensystem durchgeführt werden).
Anschließend
führt der
Vorverarbeitungsrechner 5a eine Differenzbildung der Sensordaten
S1, S3 durch, indem er den Differenzfaktor D2-3 berechnet.
-
Der
erste prozessinterne Verarbeitungsschritt dient dabei also der Ermittlung
der Übereinstimmung
der Sensordaten S (Or tungsprimärdaten) der
angeschlossenen Sensoren 3. Für diese Ermittlung ist gegebenenfalls
eine Vorverarbeitung der gelieferten Sensordaten S notwendig, wie
beispielsweise Transformation in ein geeignetes Koordinatensystem.
Das Maß der Übereinstimmung
der Sensordaten S wird mittels einer Kenngröße (dem Differenzfaktor D1-2,
D1-3, D2-3) bewertet. Der aktuelle Differenzfaktor D1-2, D1-3, D2-3
kann zwischen einem Minimum (beste Übereinstimmung) und einem Maximum
(keine Übereinstimmung)
liegen. Für
die Ermittlung des Differenzfaktors D1-2, D1-3, D2-3 können prozessspezifisch
festgelegte Toleranzen genutzt werden.
-
Im
zweiten Schritt werden die Differenzfaktoren D1-2, D1-3 von den
beiden anderen Vorverarbeitungsrechnern 5b, 5c übernommen
und der Differenzfaktor D2-3 an die beiden anderen Vorverarbeitungsrechner 5b, 5c übergeben.
Die Sensordaten werden mit Hilfe der Differenzfaktoren D1-2, D1-3, D2-3
einem Plausibilitätstest
unterzogen, der das Ziel hat, erhebliche Sensorfehler zu offenbaren
und deren Daten S1, S2, S3 von der weiteren Verarbeitung auszuschließen. Anschließend erfolgt
die Berechnung der Sensorgüte
SG1, SG2, SG3 für
alle Sensoren 3a, 3b, 3c, deren Daten
S1, S2, S3 plausibel sind. Aus dem Vergleich von D1-2 mit D2-3 wird die
Sensorgüte
SG2 und aus dem Vergleich von D1-3 mit D2-3 wird die Sensorgüte SG3 bestimmt.
Dem schließt
sich der dritte Schritt an, bei dem ein gemittelter Ort O1 anhand
der Sensordaten S2, S3 und der Sensorgüte SG2, SG3 als Gewichtsfaktoren
berechnet wird. Der so berechnete Ort O1 mit der ermittelten Sensorgüte SG2,
SG3 wird dann an den sicheren Rechner 7 übergeben.
Der gesamte Ablauf wiederholt sich zyklisch für die jeweils aktuellen Sensordaten
S1, S2, S3.
-
Der
zweite Verarbeitungsschritt dient also der Ermittlung der Qualität der aktuellen
Daten S1, S2, S3 jedes angeschlossenen Sensors 3 (sensorspezifische
Ortungsgüte
als Sensorgüte
SG1, SG2, SG3). In diesem Schritt wird der prozessintern ermittelte
Differenzfaktor D1-2, D1-3, D2-3 mit dem der anderen Prozesse P1,
P2, P3 verglichen. Dieses erfolgt durch wechselseitige Übertragung
der prozessspezifisch ermittelten Differenzfaktoren D1-2, D1-3, D2-3
zwischen den Prozessen P1, P2, P3. Dazu sind diejenigen Prozesse
P1, P2, P3 miteinander gekoppelt, die mindestens einen gemeinsamen
Sensor 3a, 3b, 3b (Ortungssensor) benutzen.
Aus dem Vergleich der Differenzfaktoren D1-2, D1-3, D2-3 zweier Prozesse
P1, P2, P3 mit einem gemeinsamen Sensor 3a, 3b, 3b kann
mit hoher Wahrscheinlichkeit auf die Qualität der Sensordaten S1, S2, S3
(Ortungsprimärdaten)
des gemeinsamen Sensors 3a, 3b, 3b geschlussfolgert
werden. Wenn beispielsweise die Differenzfaktoren D1-2, D1-3, D2-3
zweier Prozesse P1, P2, P3 vergleichbar sind, die einen gemeinsamen
Sensor 3a, 3b, 3b nutzen, kann die Sensorgüte SG1,
SG2, SG3 bzw. Ortungsgüte
des gemeinsamen Sensors 3a, 3b, 3b übereinstimmend
bewertet werden. Sind die Differenzfaktoren D1-2, D1-3, D2-3 dagegen
stark unterschiedlich, kann aus dem Vergleich eine Schlussfolgerung
auf die Sensorgüte
SG1, SG2, SG3 bzw. Ortungsgüte
der anderen beteiligten Sensoren 3a, 3b, 3b gezogen
werden.
-
Neben
dem Vergleich der Differenzfaktoren D1-2, D1-3, D2-3 können in
diesem Verarbeitungsschritt weitere Analysen nach dem Stand der
Technik erfolgen, um die Plausibilität der Daten S1, S2, S3 einzelner
Sensoren 3a, 3b, 3b zu bewerten. Beispielsweise
sind Analysen auf der Basis zurückliegender
Sensordaten S (Ortungsprimärdaten)
und der bekannten Fahrzeugdynamik möglich. Die in diesem Verarbeitungsschritt
ermittelte sensorspezifische Sensorgüte SG1, SG2, SG3 bzw. Ortungsgüte ist ein Maß für das Vertrauen,
das den aktuellen Sensordaten S1, S2, S3 entgegengebracht werden
kann. Sie kann zwischen einem Maximum (höchste Qualität der Sensordaten
S1, S2, S3) und einem Minimum (Sensordaten S1, S2, S3 nicht verwendbar)
liegen. Für
die Ermittlung der sensorspezifischen Sensorgüte SG1, SG2, SG3 bzw. Ortungsgüte können sensor- und
prozessspezifische Toleranzen festgelegt werden.
-
Jeder
Prozess berechnet also individuell die aktuellen Orte O1, O2, O3
(Ortungsdaten) auf Basis der verfügbaren Sensordaten S1, S2,
S3 (Primärortungsdaten)
der angeschlossenen Sensoren 3a, 3b, 3b und
deren sensorspezifischer Sensorgüte
SG1, SG2, SG3 (Ortungsgüte).
Die Daten S1, S2, S3 eines Sensors 3a, 3b, 3b (Ortungssensors)
werden entsprechend seiner Sensorgüte SG1, SG2, SG3 (Ortungsgüte) bei
der Berechnung gewichtet. Je höher die
Sensorgüte
SG1, SG2, SG3 (Ortungsgüte)
eines Sensors 3a, 3b, 3b ist, umso stärker fließen dessen Daten
S in das Gesamtergebnis ein. Bei minimaler Sensorgüte SG1,
SG2, SG3 (Ortungsgüte)
können die
Daten S1, S2, S3 des betreffenden Sensors 3a, 3b, 3b nicht
für die
Ortsberechnung verwendet werden.
-
Für die Berechnung
der Orte O1, O2, O3 können
diverse prozessspezifische Algorithmen, wie beispielsweise Filterung,
Integration, Transformation usw. angewendet werden. Im Ergebnis
der Berechnung steht je Prozess P1, P2, P3 der aktuelle Fahrzeugort
O1, O2, O3 in einem für
die Applikation im sicheren Rechner 7 geeigneten Format
zur Verfügung.
-
Im
dritten Verarbeitungsschritt erfolgt dann die Berechnung der aktuellen
Orte O1, O2, O3 (Ortungsdaten) in den Vorverarbeitungsrechnern 5a, 5b, 5c und
die Ausgabe an die Applikation (nicht gezeigt) des sicheren Rechners 7.
-
In 3 ist
die Verarbeitung der übergebenden
Daten, der Orte O1, O2, O3 und der Sensorgüte SG1, SG2, SG3, schematisch
dargestellt, wobei diese Daten zunächst vom sicheren Rechner gelesen werden.
Damit beginnt der erste Schritt, nämlich die Prozessprüfung, dem
der Vergleich der Ortungsdaten (Orte O1, O2, O3) folgt, also der
Orte O1, O2, O3, die von den drei Vorverarbeitungsrechnern 5a, 5b, 5c ermittelt
wurden. Weiter werden die sensorspezifische Sensorgüte SG1,
SG2, SG3 bzw. Ortungsgüte (zwei
Werte je Sensor) verglichen, um dann jeweils mittels Mehrheitsentscheidung
fehlerhafte Daten zu sus pendieren. Mehrheitsentscheidung bedeutet
hier, dass die Orte O1, O2, O3 und die Sensorgüte SG1, SG2, SG3 nicht verworfen
werden, die mehrheitlich innerhalb vorgegebener Toleranzen liegen.
Aus den verbleibenden Orten O1 und/oder O2 und/oder O3 und der Sensorgüte SG1 und/oder
SG2 und/oder SG3 ermittelt der sichere Rechner 7 einen
Fahrzeugort O, in den die verbliebenen Orte O1 und/oder O2 und/oder
O3 gewichtet mit der zugehörigen
Sensorgüte
SG1 und/oder SG2 und/oder SG3 eingehen.
-
Das
prozessspezifische Ortungsergebnis (Ortsbestimmungsergebnis) jedes
Prozesses P1, P2, P3 wird also an die Applikation im sicheren Rechner 7 ausgegeben.
Zusammen mit dem Ortungsergebnis wird von jedem Prozess P1, P2,
P3 für
alle angeschlossenen Sensoren 3a, 3b, 3b deren
sensorspezifische Sensorgüte
SG1, SG2, SG3 bzw. Ortungsgüte
an die Applikation übergeben.
-
Die
im sicheren Fahrzeugrechner 7 bereitgestellten Ortungsergebnisse
basieren auf verschiedenen Sensoren 3a, 3b, 3b und
diversitärer
Verarbeitung durch die Prozesse P1, P2, P3. Bei ordnungsgemäßer Funktion
der Sensoren 3a, 3b, 3b (Ortungssensoren)
und Vorverarbeitungsprozesse P1, P2, P3 müssen die Ortungsergebnisse
der verschiedenen Prozesse P1, P2, P3 im Rahmen der sensorbedingten
Toleranzen übereinstimmen.
Darüber
hinausgehende Abweichungen können
folgende Ursachen haben
- a) fehlerhafte Sensordaten
S1, S2, S3 – beispielsweise
durch Ausfall eines Sensors 3a, 3b, 3b oder
- b) fehlerhafte Funktion eines Vorverarbeitungsprozesses P1,
P2, P3 – beispielsweise
durch einen Implementierungsfehler im Vorverarbeitungsrechner 5a, 5b, 5c.
-
Da
die Fahrzeugortung eine sicherheitskritische Funktion ist, besteht
für den
sicheren Fahrzeugrechner 7 die Aufgabe, Feh ler der Sensoren 3a, 3b, 3b (Sensorik)
und der Vorverarbeitung aufzudecken und eine angepasste Reaktion
einzuleiten. Gleichzeitig besteht die Aufgabe, die Ortungsfunktion
tolerant gegenüber
Fehlereinflüssen
einzelner Sensoren 3a, 3b, 3b und Vorverarbeitungsprozesse
P1, P2, P3 auszulegen, um die Systemverfügbarkeit sicherzustellen. Durch
Verwendung von mindestens drei Sensoren 3a, 3b, 3b und
drei Prozessen P1, P2, P3 können
die Vorverarbeitungsergebnisse (Orte O1, O2, O3) geprüft und mehrheitlich
beurteilt werden (Mehrheitsentscheid). Der Mehrheitsentscheid ist
eine bekannte Methode für
eine sicherheitsrelevante mehrkanalige Datenverarbeitung. Diese
Methode wird dahingehend erweitert, dass die mehrkanalig ermittelten
Vorverarbeitungsergebnisse (Orte O1, O2, O3) Kriterien für deren
Beurteilung durch die sichere Applikation (Applikation auf dem sicheren
Rechner 7) enthalten. Weiterhin ermöglichen die Kriterien eine differenzierte
Fehleranalyse der Ursachen nach a) und b).
-
Die
Bewertung und Weiterverarbeitung der diversitär ermittelten Ortungsergebnisse
(Orte O1, O2, O3) aus den Vorverarbeitungsrechnern 5 erfolgt im
sicheren Fahrzeugrechner 7 in zwei Schritten. Der erste
Schritt besteht darin, die korrekte Funktion der Prozesse P1, P2,
P3 der Vorverarbeitungsrechner 5 anhand von deren Ergebnissen
zu überprüfen (Analyse
nach b). Werden die Ortungsergebnisse (Orte O1, O2, O3) eines Prozesses
P1, P2, P3 durch die Prüfung
als fehlerfrei erkannt, erfolgt deren Verwendung bei der weiteren
Ortungsberechnung im sicheren Rechner 7. Andernfalls werden
diese Ortungsergebnisse (Orte O1, O2, O3) für die Weiterverwendung gesperrt.
-
Für die Prozessprüfung können einerseits die
gelieferten Ortungsdaten (Orte O1, O2, O3) der Prozesse und andererseits
die Daten der sensorspezifischen Sensorgüte SG1, SG2, SG3 (Ortungsgüte) genutzt
werden.
-
Die
verschiedenen Ortungsergebnisse (Orte O1, O2, O3) der Vorverarbeitungsprozesse
P1, P2, P3 können
auf Plausibilität überprüft werden.
Die Plausibilitätsprüfung kann
den Ver gleich der Ortungsdaten (Orte O1, O2, O3) und die Ermittlung
der Abweichungen zwischen den Ortungsdaten (Orte O1, O2, O3) beinhalten.
Weichen die Ortungsdaten (Orte O1, O2, O3) eines Prozesses P1, P2,
P3 so stark von den Ortungsdaten (Orte O1, O1, O2, O3) der anderen
Prozesse P1, P2, P3 ab, dass festgelegte Toleranzen überschritten
werden, kann dieses ein Indiz für
fehlerhafte Verarbeitung im Prozess P1, P2, P3 sein.
-
Weiterhin
erfolgt im Rahmen der Plausibilitätsprüfung ein Vergleich der von
verschiedenen Prozessen P1, P2, P3 zu einem Sensor 3a, 3b, 3b gelieferten
Daten der sensorspezifischen Sensorgüte SG1, SG2, SG3 (Ortungsgüte). Melden
beispielsweise zwei Prozesse für
den gleichen Sensor 3a, 3b, 3b eine sensorspezifische
Ortungsgüte
SG1, SG2, SG3, deren Differenz größer als eine festgelegte Toleranz ist,
kann dieses als Indiz für
einen Verarbeitungsfehler in einem der beteiligten Prozesse P1,
P2, P3 gewertet werden. Wenn im Ergebnis der Plausibilitätsprüfung eine
Nichtübereinstimmung
der sensorspezifischen Ortungsgüte
SG1, SG2, SG3 zweier Prozesse P1, P2, P3 für einen Sensor 3a, 3b, 3b gefunden wird,
können
die Ortungsergebnisse (Orte O1, O2, O3) der beteiligten Prozesse
P1, P2, P3 mit ggf. geringerem Gewicht bei der Ortungsberechnung
im sicheren Rechner 7 verwendet werden. Wird bei der Plausibilitätsprüfung entdeckt,
dass z.B. die sensorspezifische Ortungsgüte SG1, SG2, SG3 mehrerer Sensoren 3a, 3b, 3b eines
Prozesses P1, P2, P3 nicht zu der sensorspezifischen Ortungsgüte SG1, SG2,
SG3 der identischen Sensoren 3a, 3b, 3b der Nachbarprozesse
passt, ist dieses ein Indiz für
fehlerhafte Prozessverarbeitung im betreffenden Prozess P1, P2,
P3. In diesem Fall werden die Ortungsergebnisse dieses Prozesses
P1, P2, P3 für
die weitere Verarbeitung gesperrt. Durch Überprüfung der sensorspezifischen
Ortungsgüte
(Sensorgüte
SG1, SG2, SG3) für
alle Sensoren 3a, 3b, 3b können alle Prozesse
P1, P2, P3 systematisch überprüft werden.
-
Bei
ausreichender Übereinstimmung
der sensorspezifischen Ortungsgüte
(Sensorgüte
SG1, SG2, SG3) für
alle Sensoren 3a, 3b, 3b eines Prozesses
P1, P2, P3 mit der sensorspezifischen Ortungsgüte (Sensorgüte SG1, SG2, SG3) dieser Sensoren 3a, 3b, 3b in
den anderen Prozessen P1, P2, P3 werden die Ergebnisse dieses Prozesses
P1, P2, P3 durch die Nachbarschaftsbeziehung zu den anderen Prozessen
P1, P2, P3 gestützt
und sind damit vertrauenswürdig.
Da die sensorspezifische Ortungsgüte (Sensorgüte SG1, SG2, SG3) nicht zwischen den
Vorverarbeitungsrechnern 5a, 5b, 5c ausgetauscht
wird, kann ein fehlerhaft arbeitender Prozess P1, P2, P3 seine Daten
für die
sensorspezifische Ortungsgüte
(Sensorgüte
SG1, SG2, SG3) nicht so manipulieren, dass sie regelmäßig zu den
Daten der anderen Prozesse P1, P2, P3 passen und dadurch seine Fehlfunktion
verdecken (Robustheit gegenüber Byzantinischen
Fehlern).
-
Im
Ergebnis der Prozessüberprüfung im
ersten Schritt wird also für
jeden Prozess P1, P2, P3 der Vorverarbeitungsrechner 5a, 5b, 5c festgelegt,
ob die gelieferten Ortungsergebnisse (Orte O1, O2, O3) für die Ortungsberechnung
im sicheren Rechner 7 weiterverwendet werden dürfen.
-
Der
zweite Schritt der Verarbeitung der Ortungsergebnisse (Orte O1,
O2, O3) im sicheren Rechner besteht in der Berechnung des sicherheitskritischen
Fahrzeugorts (Ort O) einschließlich
eines Vertrauensintervalls.
-
Für diesen
Schritt werden nur die aus dem ersten Schritt zugelassenen Ortungsergebnisse
(Orte O1 und/oder O2 und/oder O3) herangezogen.
-
In
die Berechnung einer resultierenden Fahrzeugortung gehen die Ortungsergebnisse
(Orte O1, O2, O3) anteilig und gewichtet ein. Das Gewicht eines
Ortungsergebnisses (Orte O1, O2, O3) ergibt sich durch Berücksichtigung
der sensorspezifischen Ortungsgüte
(Sensorgüte
SG1, SG2, SG3) für
alle Sensoren 3a, 3b, 3b eines Prozesses
P1, P2, P3. Je höher
die durchschnittliche Ortungsgüte
(Sensorgüte SG1,
SG2, SG3) aller Sensoren 3a, 3b, 3b eines
Prozesses P1, P2, P3 ist, umso stärker fließen dessen Ortungsergebnisse
(Orte O1, O2, O3) in die Berech nung der resultierenden Fahrzeugortung
(Ort O) ein und umgekehrt. Die resultierende Fahrzeugortung (Ort
O) kann durch Mittelwertbildung der gewichteten Ortungsergebnisse
(Orte O1, O2, O3) erfolgen.
-
Weiter
können
zusätzliche
verfügbare
Ortungsdaten des sicheren Rechners 7, wie beispielsweise
Baliseninformationen bei der Ortungsberechnung verwendet werden.
Das Resultat der Ortungsberechnung (Ort O) kann auf Plausibilität überprüft werden,
beispielsweise durch Vergleich mit extrapolierten zeitlich zurückliegenden
Ortungsdaten (Orte O1, O2, O3).
-
Die
Berechnung des Vertrauensintervalls für den Aufenthaltsort (Orte
O1, O2, O3) des Fahrzeuges hängt
von der erreichten Ortungsgenauigkeit ab. Die Ortungsgenauigkeit
unterliegt folgenden Einflüssen:
- 1. Anzahl der nach der Plausibilitätsprüfung für die Berechnung
zugelassenen Prozesse P1, P2, P3
- 2. Anzahl der Sensoren 3a, 3b, 3b,
auf denen die resultierende Fahrzeugortung basiert
- 3. erreichtes Niveau der sensorspezifischen Ortungsgüte (Sensorgüte SG1,
SG2, SG3) der verwendeten Sensoren 3a, 3b, 3b (Qualität der Ortungsergebnisse)
-
Diese
Einflussfaktoren können
bei der Berechnung des Vertrauensintervalls berücksichtigt werden. Beispielsweise
kann sich die Größe des Vertrauensintervalls
jeweils verändern,
wenn ein Ortungssensor 3a, 3b, 3b zeitweise
unbrauchbare Daten liefert und sich anschließend wieder resynchronisiert.
Weiterhin kann das Vertrauensintervall durch zusätzliche Ortungssensoren im
sicheren Fahrzeugrechner verbessert werden (z.B. durch Berücksichtigung
von Balisen).
-
Das
resultierende Vertrauensintervall des Fahrzeuges ist damit dynamisch.
-
Zur
Erhöhung
Genauigkeit wird also im sicheren Rechner 7 ein Vertrauensintervall
unter Verwendung der Sensorgüte
SG1, SG2, SG3 und/oder den sensorspezifischen Toleranzen gebildet.
-
Zur
weiteren Erhöhung
der Genauigkeit verwendet der sichere Rechner 7 hier als
Beispiel die von einer Balise gelieferte Information, um eine Korrektur
des berechneten Orts O vorzunehmen, wobei er den berechneten Ort
O anschließend
noch einer Plausibilitätsprüfung unterzieht.
Der dann so ermittelte Ort O steht damit zur Verwendung z.B. zur
Zugsicherung bereit.
-
Der
gesamte Ablauf wiederholt sich mit einem festgelegten Zyklus im
sicheren Rechner 7 oder nach dem Eintreffen neuer Daten
S1, S2, S3 aus den Vorverarbeitungsrechnern 5a, 5b, 5c.
Die Synchronisation mittels Balisen erfolgt nur dann, wenn jeweils aktuelle
Balisendaten verfügbar
sind.